Sundhedsplatformen: Epic udskyder igen at levere garanti for sikker databehandling

15. marts 2018 kl. 11:595
Sundhedsplatformen: Epic udskyder igen at levere garanti for sikker databehandling
Illustration: Screenshot.
Region Hovedstaden har endnu ikke modtaget en endelig, godkendt revisionserklæring om it-sikkerheden hos Sundhedsplatformens leverandør, Epic.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Leverandøren bag Sundhedsplatformen, Epic, har efter otte måneder endnu ikke formået at levere en færdig revisionserklæring, der skal dokumentere, at danske sundhedsdata bevares og behandles forsvarligt.

Dokumentet skulle have været sendt til regionen i juni sidste år. I denne måned har Epic imidlertid meddelt regionen, at revisionserklæringen først vil være klar til maj.

Det fremgår af en aktindsigt, som Version2 har fået.

Her oplyser Region Hovedstaden, at man »løbende vurderer, hvilke kontraktuelle implikationer forsinkelsen skal have«.

Artiklen fortsætter efter annoncen

Den første revisionserklæring fra Epic blev dumpet af Region H.

Forløbet

  • 22. juni 2017: Epic har første deadline for at aflevere en revisionserklæring om it-sikkerheden hos leverandøren.

  • 25. august 2017: Epic fremsender første udkast til revisionserklæring – på to en halv linje.

  • 30. oktober 2017: Epic sender et nyt udkast til revisionserklæringen.

  • 1. november 2017: Epic sender endnu et udkast til revisionserklæringen.

  • 9. marts 2018: Epic oplyser til Region H, at revisionserklæringen er under udarbejdelse.

  • 18. maj 2018: Epic vil fremsende erklæringen til regionen.

To linjer

Som Version2 tidligere har beskrevet, sender Sundhedsplatformen rutinemæssigt ikke-anonymiseret sundhedsdata til it-medarbejdere i USA i forbindelse med vedligehold og fejlretning af it-systemet.

Revisionserklæringen er regionens garanti for, at Epic behandler sundhedsdataen sikkert. Men indtil videre har Epics forsøg på at leve op til dokumentationskravet været decideret mangelfulde.

I august sendte Epics Chief Security Officer Stirling Martin en erklæring til Sundhedsplatformen, der på to linjer meddelte, at Epic lever op til alle krav i kontrakten. Den erklæring fandt regionen for let.

Artiklen fortsætter efter annoncen

»Sundhedsplatformen vurderede, at erklæringen ikke havde den fornødne detaljeringsgrad,« skrev Region Hovedstaden sidste år i en kommentar til Version2.

Region Hovedstaden understreger nu, at man »ikke på noget tidspunkt i forbindelse med driften af Sundhedsplatformen har haft mistanke om, at Epic ikke lever op til kravene i databehandleraftalen«.

Nye erklæringer mørkelagt

Ifølge kontrakten skulle Epic blandt andet dokumentere, at selskabet har haft besøg af uafhængige revisorer. I starten af oktober sendte regionen et regneark til Epic, som et »eksempel på, hvordan rapporteringen kunne gøres, eller hvordan vi kunne forestille os, at det kunne se ud«.

Siden har Epic i både oktober og november leveret nye udkast til revisionserklæringen, der er betydeligt længere end notatet fra august. Dem har Version2 også fået indsigt i – men begge er fuldstændig mørkelagt med henvisning til, at Epic i dokumentet beskriver »fortrolige forretningsforhold«.

Artiklen fortsætter efter annoncen

Ligeledes er den feedback, som regionen har givet Epic på de nye udkast, blevet overstreget med en sort tusch.

5 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
5
16. marts 2018 kl. 12:38

Man fristes til at se på letbanen i Århus hvor toget først måtte køre når alle sikkerhedsgodkendelser var i orden og så Sundhedsplatformen hvor det åbenbart er helt i orden at sikkerheden ikke er godkendt, ikke engang af den myndighed der anvender systemet.

SP toget burde ikke have haft lov til at køre før det var blevet sikkerhedsgodkendt. Det skader igen den tillid som borgerne/ansatte har til at anvende (sundheds-)data til samfundsnyttige formål.

2
15. marts 2018 kl. 13:15

Der er da ikke et tilfælde at det er den 18. maj. Dette er på dagen hvor GDPR's hammer kan falde.

Hvis vi oversætter handlingerne til letforståeligt så betyder de: "Vi tager alle de data vi kan - lige indtil vi ikke må længere". Dann haben wir anderen metoden...

K

1
15. marts 2018 kl. 12:16

... og meget, meget bekymrende. For hvorfor kan/vil Epic ikke levere det, de ifølge kontrakten er forpligtede til? De burde jo nu faktisk være i gang med at formulere den nye årsrapport? Og hvorfor kan regionen ikke sætte sig igennem med kontraktens krav? Er de i lommen på Epic på en eller anden måde?

Eller er det også fra regionens side et forsøg på at "stalle" og udskyde en rapport, som man måske forventer vil skabe ramaskrig?

"ikke på noget tidspunkt i forbindelse med driften af Sundhedsplatformen har haft mistanke om, at Epic ikke lever op til kravene i databehandleraftalen."

I mine øjne giver selve dette forløb i høj grad mistanke om, at den er grueligt galt med datasikkerheden.

Overstregninger? Hvad er det nu, vi plejer at få at vide? Hvis du ikke har noget at skjule....?